1. なぜ可視化が最初の一歩なのか
SaaS管理でも、コスト最適化でも、セキュリティ強化でも——あらゆる取り組みの出発点になるのが、「SaaS利用状況の可視化」です。なぜなら、見えないものは、管理できないからです。
考えてみてください。「どんなSaaSを使っているか」が分からなければ、無駄なライセンスは削れません。「誰がどのSaaSを使っているか」が分からなければ、退職者のアカウントは止められません。「会社が把握しないSaaS（シャドーIT）」が見えなければ、そこで起きる情報漏えいには気づけません。すべての対策は、まず「見える」ことから始まります。可視化は、SaaS統制の、動かせない最初の一歩なのです。逆に言えば、多くの企業でSaaSが統制できていないのは、そもそも「見えていない」からなのです。
2. 何を可視化するのか
SaaS利用状況の可視化とは、具体的には次の情報を把握することです。
| 可視化する対象 | 把握する内容 |
|---|---|
| 利用中のSaaS一覧 | 会社として、どんなSaaSが使われているか（シャドーIT含む） |
| 利用者 | 各SaaSを、誰が使っているか |
| 利用頻度・状況 | 実際にどれくらい使われているか（未使用の発見） |
| 契約・コスト | ライセンス数、契約金額、重複 |
| アクセス権・データ | 各SaaSにどんなデータがあり、誰がアクセスできるか |
なかでも重要なのが、「シャドーITの発見」と「誰が使っているかの把握」です。シャドーITは、会社が把握しないまま現場が使うSaaSで、可視化して初めてその存在が明らかになります。そして「誰が使っているか」が分かれば、退職者アカウントの停止も、ライセンスの最適化も進みます。可視化は、コストとセキュリティの両面の課題を、一度に浮かび上がらせるのです。
3. SaaS利用状況を可視化する4つの方法
- ① 契約・請求情報からの棚卸し：経理の請求データや契約書から、契約中のSaaSを洗い出します。手軽に始められますが、シャドーITは見つけにくいのが難点です。
- ② 通信ログ・プロキシからの発見：社内ネットワークの通信ログを分析し、どんなSaaSに接続しているかを把握します。シャドーITの発見に有効です。
- ③ 認証基盤（IDaaS）のログイン記録：認証を一元化していれば、「どのSaaSに、誰が、いつログインしたか」を一元的に把握できます。最も確実で継続的な方法です。
- ④ SaaS管理ツールの活用：専用のSaaS管理ツールで、利用状況・コスト・アカウントを一元的に可視化・分析します。
手作業の棚卸し（①）から始めても構いませんが、SaaSは日々増減するため、一度きりの調査では、すぐに実態と合わなくなります。継続的に可視化するには、③ 認証基盤による一元把握が最も有効です。認証を一箇所に集約すれば、そこがそのまま「誰が何を使っているか」の可視化ポイントになるからです。
4. 可視化の先——ID・認証の一元化へ
SaaS利用状況を可視化したら、次に目指すべきは「ID・認証の一元化」です。可視化は「見える」だけ。そこから先の「統制する」段階へ進むには、多数のSaaSのIDと認証を、一つの基盤に集約する必要があります。
前述の通り、認証を一元化すれば、それ自体が最も確実な可視化の仕組みになります。「誰がどのSaaSを使っているか」が常に見え、入退社に連動してアカウントを自動で発行・削除でき、シャドーITも認証基盤を通すことで統制下に置けます。可視化と統制が、一つの基盤の上で一体化するのです。SaaS管理全体の考え方はSaaS管理とは、認証基盤の選び方はSaaS時代の認証基盤の選び方をご覧ください。
そして、この一元化された認証は、フィッシングに強いパスワードレス認証（FIDO2/パスキー）で守るのが理想です。SaaSが見えるようになり、一元管理できるようになったら、その入口を、盗みようのない認証で固める。パスワードレスなら、多数のSaaSのパスワードから利用者を解放し、フィッシングによるアカウント乗っ取りも防げます。米国NISTをはじめ世界のガイドラインが最終的に求める認証も、このパスワードレスです。「可視化 → 一元化 → パスワードレス」——これが、SaaSを安全に活用する王道の流れです。
5. まとめ
SaaS利用状況の可視化とは、「どんなSaaSを、誰が、どう使っているか」を把握することです。見えないものは管理できないため、可視化は、コスト最適化・セキュリティ強化・シャドーIT対策のすべての出発点になります。契約情報・通信ログ・認証記録・SaaS管理ツールといった方法がありますが、継続的な可視化には、認証基盤による一元把握が最も有効です。
そして、可視化の先に目指すのは、ID・認証の一元化です。認証を一元化すれば、可視化と統制が一体化し、その入口を、フィッシングに強いパスワードレス認証で守れます。「可視化 → 一元化 → パスワードレス」という流れで、SaaSを安全に活用できます。世界のガイドラインが最終的に求めるのも、このパスワードレスです。まず自社のSaaS利用状況を可視化し、シャドーITや放置アカウントを見つけることから始めましょう。進め方でお困りなら、専門家にご相談ください。